První známka toho, že zabezpečení webu selhalo, často není něco, čeho by si majitel webu vůbec všiml. Návštěvníci narazí na varování, jsou přesměrováni na neznámé stránky nebo zjistí, že jejich data byla ohrožena, zatímco web na povrchu vypadá, že funguje normálně. Zabezpečení webu je soubor opatření, která web chrání před neoprávněným přístupem, krádeží dat, malwarem a výpadky. Tento článek popisuje, proč na něm záleží u každého webu bez ohledu na velikost nebo účel, jak vypadají nejběžnější hrozby a jaké základní ochrany by měl mít každý web.
Automatizované útoky web před cílením nehodnotí. Neustále skenují internet a hledají známé zranitelnosti, které by mohly zneužít, bez ohledu na velikost webu, obor nebo objem návštěvnosti. Rozdíl mezi weby, které jsou napadeny, a těmi, které ne, jen zřídka spočívá v tom, jak je web nápadný. Téměř vždy jde o zavedená bezpečnostní opatření.
Co se může stát nezabezpečenému webu?
Selhání zabezpečení webu nejsou vždy dramatická. Majitel webu si jich často nevšimne, zatímco způsobují značné škody návštěvníkům, pověsti a výkonu ve vyhledávání.
Krádež dat
- Pokud váš web sbírá jakékoli informace o návštěvnících, včetně odeslaných kontaktních formulářů, e-mailových adres nebo platebních údajů, nezabezpečený web tato data ohrožuje
- Únik, který odhalí data návštěvníků, vytváří právní odpovědnost, zejména v regionech, kde zákony o ochraně údajů vyžadují bezpečné nakládání s osobními informacemi
- Návštěvníci, kteří zjistí, že jejich data unikla přes váš web, se jen stěží vrátí
Vložení malwaru
- Útočníci, kteří získají přístup k webu, mohou vložit škodlivý kód, který tiše běží na pozadí
- Tento kód může přesměrovat návštěvníky na podvodné stránky, zobrazovat nechtěné reklamy, krást přihlašovací údaje nebo využít web k útokům na jiné
- Majitel webu často netuší, že se to děje, dokud to nenahlásí návštěvník nebo na to neupozorní bezpečnostní skener
Znehodnocení webu (defacement)
- Některé útoky nahradí obsah webu vlastní zprávou, obrázky nebo odkazy útočníka
- Znehodnocení je okamžitě viditelné a poškozuje důvěryhodnost i důvěru
- U každého webu, který se spoléhá na online přítomnost při získávání nebo udržení návštěvníků, může zotavení z incidentu trvat značný čas a úsilí
Výpadky
- Útoky navržené tak, aby server zahltily návštěvností, mohou web úplně vyřadit z provozu
- Každá hodina, kdy je web mimo provoz, znamená ztracenou viditelnost, ztracené poptávky a ztracené tržby
- Zotavení z vážného útoku může trvat dny, pokud nejsou připravené zálohy
Jak zabezpečení webu ovlivňuje pozice ve vyhledávání?
Vyhledávače aktivně sledují bezpečnostní problémy a zohledňují je v pozicích a viditelnosti ve vyhledávání.
Varování před malwarem ve výsledcích vyhledávání
- Když vyhledávač na webu zjistí malware, přidá k záznamu ve výsledcích vyhledávání varovný štítek
- Návštěvníci, kteří před kliknutím uvidí varování, jen zřídka pokračují
- Míra prokliku klesne téměř na nulu, když se zobrazují bezpečnostní varování, bez ohledu na to, jak dobře se stránka řadí
Bezpečnostní varování prohlížeče
- Prohlížeče zobrazí varování přes celou obrazovku, když se návštěvník pokusí otevřít web označený jako nebezpečný nebo web bez HTTPS
- Návštěvníci se musí aktivně rozhodnout pokračovat přes tato varování a většina to neudělá
- Web, který spouští varování prohlížeče, ztrácí návštěvnost od každého návštěvníka, který je uvidí
HTTPS jako signál pro řazení
- HTTPS, zabezpečená verze protokolu HTTP, je potvrzený signál pro řazení
- Weby, které servírují stránky přes HTTP místo HTTPS, jsou v pozicích znevýhodněné oproti rovnocenným stránkám doručovaným zabezpečeně
- Prohlížeče také označují weby s HTTP v adresním řádku jako „Nezabezpečeno“, což snižuje důvěru návštěvníků ještě před jakoukoli interakcí
Úplné vysvětlení toho, jak HTTPS funguje a co chrání, najdete v článku o tom, co je HTTPS a jak chrání váš web.
Jaké jsou nejběžnější hrozby pro zabezpečení webu?
Útoky hrubou silou (brute force)
- Automatizované nástroje zkoušejí tisíce kombinací uživatelských jmen a hesel, aby získaly přístup do administrace webu
- Slabá hesla a neomezený počet pokusů o přihlášení usnadňují provedení útoku hrubou silou
- Dvoufázové ověření a omezení počtu pokusů o přihlášení toto riziko výrazně snižují
SQL injection
- Útočníci vkládají škodlivý kód do polí formulářů nebo parametrů URL, aby manipulovali s dotazy do databáze
- Úspěšná SQL injection může odhalit nebo smazat obsah databáze, včetně dat zákazníků
- Tato hrozba je obzvlášť relevantní pro weby s vyhledávacími poli, přihlašovacími formuláři nebo kontaktními formuláři, které pracují s databází
Cross-site scripting
- Škodlivé skripty se vloží do stránky, kterou si pak ve svých prohlížečích načtou další návštěvníci
- Tyto skripty mohou krást relační cookies, přesměrovávat návštěvníky nebo zachytávat vstup z formulářů
- Cross-site scripting je jedna z nejběžnějších zranitelností webových aplikací
Malware a ransomware
- Jakmile útočník získá přístup k webu, může nainstalovat malware, který běží na pozadí, sbírá data nebo šifruje soubory
- Ransomware zamkne majitelům webů přístup k jejich vlastním webům a žádá platbu za jeho obnovení
- Pravidelné zálohy jsou hlavní obranou proti ransomwaru, protože obnovení z čisté zálohy útočníkovi bere páku
Zastaralý software
- Známé zranitelnosti v softwaru webu, pluginech a šablonách se po vydání oprav zveřejňují
- Weby se zastaralými verzemi jsou zranitelné vůči útokům, které tyto zveřejněné zranitelnosti zneužívají
- Udržování softwaru aktuální je jedno z nejpřímočařejších dostupných opatření pro zabezpečení webu
Jaká základní bezpečnostní opatření by měl mít každý web?
HTTPS a certifikát SSL
- Každý web by měl servírovat stránky přes HTTPS, které šifruje data při přenosu mezi prohlížečem návštěvníka a serverem
- Certifikát SSL je to, co HTTPS umožňuje. Bez něj se data přenášejí jako prostý text a lze je zachytit
- Prohlížeče označují weby bez HTTPS jako „Nezabezpečeno“. Návštěvníci jen stěží odešlou formulář nebo nakoupí na webu s tímto štítkem
Úplné vysvětlení toho, jak certifikáty SSL fungují a jak ho získat, najdete v článku o tom, co je certifikát SSL a jak funguje.
Silné ověřování
- Účty správců by měly používat silná, jedinečná hesla a dvoufázové ověření
- Omezte počet pokusů o přihlášení, abyste zablokovali automatizované nástroje pro útoky hrubou silou
- Odstraňte nepoužívané účty správců. Každý aktivní účet se slabými přihlašovacími údaji je potenciální vstupní bod
Pravidelné zálohy
- Zálohy umožňují obnovit web do čistého stavu po útoku bez placení výkupného nebo budování od nuly
- Zálohy by se měly ukládat odděleně od samotného webu. Záloha uložená na stejném serveru je ztracena, pokud je server napaden
- Obnovu pravidelně testujte, abyste ověřili, že zálohy fungují, jak mají
Aktualizace softwaru
- Aktualizace platformy webu, pluginů, šablon a všech integrací třetích stran instalujte, jakmile jsou k dispozici
- Aktualizace často obsahují bezpečnostní opravy, které uzavírají zranitelnosti objevené od předchozího vydání
Webový aplikační firewall
- Webový aplikační firewall stojí mezi příchozí návštěvností a webem a odfiltruje známé škodlivé požadavky dřív, než dorazí na server
- Firewally dokážou automaticky blokovat pokusy o SQL injection, cross-site scripting, návštěvnost botů a další běžné vzorce útoků
Úplného průvodce ochranou webu před neoprávněným přístupem a útoky najdete v článku o tom, jak chránit web před hackery. Jak nastavit pravidelné zálohy, se dočtete v článku jak zálohovat web.
Jak WEMASY řeší zabezpečení webu
Tvůrce webů WEMASY automaticky aktivuje certifikát SSL, takže všechny weby se ve výchozím stavu servírují přes HTTPS. Není potřeba žádné samostatné nastavení ani nákup.
Software běžící na platformě WEMASY udržuje a aktualizuje tým platformy, takže majitelé webů nejsou odpovědní za instalaci bezpečnostních oprav podkladového systému.
Co je součástí, uvidíte u tvůrce webů WEMASY, nebo si projděte možnosti tarifů na stránce s ceníkem.
Často kladené otázky
Proč je zabezpečení webu důležité?
Zabezpečení webu chrání návštěvníky, data webu i viditelnost ve vyhledávání najednou. Nezabezpečený web lze použít ke krádeži dat návštěvníků, šíření malwaru mezi lidi, kteří ho navštíví, nebo ho lze úplně vyřadit z provozu. Vyhledávače označují nezabezpečené weby ve výsledcích a prohlížeče varují návštěvníky, než na web vstoupí, což obojí dramaticky snižuje návštěvnost. Bezpečnostní incident může trvale poškodit důvěru a viditelnost, které si web vybudoval. S tvůrcem webů WEMASY si to můžete nastavit přímo na svém webu.
Potřebují zabezpečení všechny weby?
Ano. Automatizované útoky neustále skenují internet kvůli zranitelnostem a necílí na weby podle velikosti nebo návštěvnosti. Každý veřejně dostupný web je potenciální cíl. Následky narušení, včetně ztráty dat, varování před malwarem ve výsledcích vyhledávání, výpadků a právní odpovědnosti, jsou stejné bez ohledu na velikost nebo účel webu.
Ovlivňuje zabezpečení webu SEO?
Ano, přímo. HTTPS je potvrzený signál pro řazení, což znamená, že weby servírované zabezpečeně mají v pozicích výhodu oproti webům s HTTP. Kromě toho weby, které vyhledávače označí kvůli malwaru, dostávají varovné štítky ve výsledcích vyhledávání, které snižují míru prokliku téměř na nulu. Bezpečnostní varování prohlížeče zastaví návštěvníky dřív, než se na stránku dostanou. Bezpečnostní incident může web úplně odstranit z výsledků vyhledávání, dokud se problém nevyřeší a nezkontroluje.
Jaké je nejdůležitější bezpečnostní opatření pro web?
HTTPS prostřednictvím certifikátu SSL je minimální základ. Bez něj data odeslaná přes formuláře putují jako prostý text a prohlížeče web označí jako nezabezpečený. Kromě toho jsou silné ověřování u účtů správců a udržování veškerého softwaru aktuální dvě opatření, která předcházejí většině běžných útoků. Pravidelné zálohy jsou záchranná síť, která omezí škody, když ostatní opatření selžou.
Jak poznám, že byl můj web napaden hackery?
Běžné příznaky zahrnují hlášení návštěvníků o neočekávaných přesměrováních na jiné weby, výsledky vyhledávání zobrazující neznámé stránky nebo varování, výrazně pomalejší načítání webu, objevení se obsahu, který nepřidal majitel webu, nebo zamčený přístup do administrace. Mnoho útoků je navrženo tak, aby byly pro majitele webu neviditelné, zatímco ovlivňují návštěvníky, proto je důležité pravidelně kontrolovat zprávy bezpečnostních skenů a sledovat ve výkonu ve vyhledávání neobvyklé poklesy.
Jaký je rozdíl mezi zabezpečením webu a zabezpečením webhostingu?
Zabezpečení webhostingu označuje ochrany uplatněné na úrovni infrastruktury, včetně serveru, sítě a datového centra. Zabezpečení webu označuje ochrany uplatněné na úrovni webu, včetně kódu aplikace, systémů ověřování a konfigurace. Záleží na obojím. Zabezpečené hostingové prostředí nechrání web se slabými hesly nebo zastaralým softwarem a silné zabezpečení na úrovni webu nedokáže vynahradit poskytovatele hostingu se špatnými postupy v infrastruktuře.